governikus autent

1
GOVERNIKUS
AUTENT
DIE LÖSUNG FÜR IHR
IDENTITÄTSMANAGEMENT
2
WACHSENDE
ANFORDERUNG
IM UMGANG MIT
DIGITALEN IDENTITÄTEN
FLEXIBLE UND
INTEROPERABLE
IDENTITÄTSSZENARIEN
3
Der Umgang mit elektronischen Identitäten
ist eine komplexe Herausforderung. Die
Heterogenität der IT-Systeme, in denen
Identitäten und Berechtigungen in den unterschiedlichsten Facetten gespeichert und
verwendet werden, macht das Management
von Identitäten mit der Fülle von Anforderungen an Wirtschaftlichkeit, Einfachheit und
Risikominimierung schier unmöglich.
Zudem nehmen der Bedarf und auch der
Anspruch an den Schutz personenbezogener
Daten stark zu. Identitäts- und Datendiebstahl sind große Sicherheitsrisiken, die es
zu verhindern gilt. Daraus ergibt sich die
Forderung nach einer expliziten Berechtigungsstruktur für den Zugriff auf Daten,
die wiederum auf gespeicherten Identitäten
beruht.
Betrachtet man darüber hinaus den Trend
hin zu immer mehr Vereinfachungen der
Anwendung auf Seiten der Nutzer, ist die Herausforderung an die IT-Architektur immens.
Gleichzeitig steigt bei weiterer Globalisierung
und Stärkung des europäischen Binnenmarktes die Erwartungshaltung an gegenseitiger
Anerkennung der unterschiedlichen nationalen Identitätstoken bzw. -systeme. Mehr
denn je bedarf es von daher einer intelligenten Vernetzung und somit Föderation von
Systemen und verteilten Identitäten.
MULTIAUTHENTISIERUNGSSTRATEGIE MIT
GOVERNIKUS AUTENT
Neben dem sicheren Transport von vertraulichen Daten ist eine der Hauptanforderungen
im E-Government die Authentisierung
der Kommunikationsteilnehmer. Für den
Umgang mit elektronischen Identitäten,
also dem sicheren Identifizieren sowie dem
Zulassen berechtigter und der Verhinderung
unberechtigter Zugriffe auf Inhalte und
Dienstleistungen, wurde Governikus Autent
als eine umfassende Identitätsmanagementlösung konzipiert und realisiert. Auch
unter den Gesichtspunkten Single Sign-On
und Interoperabilität lassen sich sichere und
föderierte Kommunikationsinfrastrukturen
mit Governikus Autent umsetzen. Darüber hinaus wird im Kontext der eIDAS-Verordnung
der Umgang mit europäischen Identitäten
ermöglicht.
Anwendung des IT-Planungsrates
BESTANDTEIL DER ANWENDUNG
GOVERNIKUS
Als Bestandteil der Anwendung Governikus
des IT-Planungsrates kann Governikus
Autent von Bund, Ländern und den meisten
ihrer Kommunen ohne weitere Lizenzkosten
abgerufen werden.
MODERNES
FÖDERIERTES IDENTITÄTSMANAGEMENT
4
5
FUNKTIONSSCHWERPUNKTE
Funktionsschwerpunkte = umfassende
und flexible Identitätsmanagementlösung
Sicheres Identifizieren der
Kommunikationspartner
Benutzerverwaltung und
Management rund um den
Identitätslebenszyklus
Verzeichnisdienstfunktion
TYPISCHE
HERAUSFORDERUNGEN IM
UMGANG MIT IDENTITÄTEN
Sie wollen ein Servicekonto etablieren
und die Interoperabilität zu anderen
Servicekonten oder einem Portalverbund gewährleisten?
Sie möchten mehrere Identitätslösungen
bündeln und suchen nach einer Möglichkeit der Föderation verschiedener Identitätsinstanzen?
Governikus Autent verwendet offene Industriestandards und eignet sich daher hervorragend für das Identitätsmanagement und
stellt somit eine wichtige Basiskomponente
beim Aufbau von Servicekonten dar.
Aktuell wird Governikus Autent bei der Pilotierung und Erprobung der interoperablen
Servicekonten eingesetzt. Darüber hinaus
wird die Interoperabilität zu anderen Servicekonten im Portalverbund sichergestellt.
Aufgrund der Vielzahl von Authentisierungsund Integrationsmöglichkeiten lässt sich
Governikus Autent als zentrale Single
Sign-On-Lösung (SSO) einsetzen.
Um die Verwaltung von und den Zugriff
auf digitale Identitäten im elektronischen
Rechtsverkehr zu zentralisieren, kann der
Autent Server beispielsweise als SAFE-konformer Identitätsprovider eingesetzt werden und für Authentisierungsanfragen mit
SAFE-Instanzen anderer Vertrauensdomänen
kommunizieren. Natürlich kann Governikus
Autent auch für föderierte Identitätslösungen in Wirtschaft und Verwaltung außerhalb
des elektronischen Rechtsverkehrs eingesetzt werden.
SAFE („Secure Access to Federated e-Justice /
e-Government“)
... ist ein Projekt der Justiz, das offene technische
Standards für föderierte ID-Management-Systeme
vorgibt, um eine einheitliche und sichere Kommunikationsinfrastruktur im elektronischen Rechtsverkehr
sicherzustellen.
FÖDERATION &
SINGLE-SIGN-ON
6
NOTIFIZIERTE EUROPÄISCHE eIDs
GEMÄSS EIDAS-VERORDNUNG
7
Gemäß der eIDAS-Verordnung müssen
notifizierte europäische Identitäten in
Ihren Diensten und Angeboten akzeptiert werden. Sie wollen diese Interoperabilität gewährleisten?
Ab 18.09.2018 schreibt die eIDAS-Verordnung die verbindliche Akzeptanz notifizierter europäischer eIDs vor, wenn Sie
die Nutzung der Online-Ausweisfunktion
in Ihrem Diensteangebot integriert haben. Governikus Autent wird im Rahmen
des von der EU geförderten Projekts
TREATS (TRans-European AuThentication Services) so erweitert, dass künftig
sämtliche notifizierten europäischen
Identifikationsmittel unterstützt werden. Alle Erweiterungen werden direkt im
Identitätsmanagementsystem umgesetzt
und stehen sofort allen angeschlossenen
Systemen zur Verfügung.
Das Projekt öffnet der Verwaltung in
Deutschland erstmals die eID-Infrastruktur des Personalausweises für den
EU-weiten Zugang mit Identifizierungsmitteln anderer Mitgliedstaaten. Das
Projekt wird als CEF-Vorhaben (Connecting Europe Facility der EU-Strategie
Europa 2020) gefördert und soll unter der
Konsortialführung von Governikus Ende
Oktober 2017 abgeschlossen sein.
eIDAS
READY
8
nd
e
t
Aut
en
onnect
DC
tI
Autent F
ro
n
9
LEISTUNGSMERKMALE AUTENT SERVER
Offene
Schnittstellen
Au
te n t S er v er
■■ SAML 2.0 Web Browser SSO Profil
■■ Secure Token Service
■■ WS-Trust
■■ eID-Service nach BSI TR-03130 (Online-Ausweisfunktion und eIDAS)
■■ JSon Web Token
■■ Open ID connect (in Planung für 2017)
MODULARE
BESTANDTEILE
Modularität
Die Architektur des Autent Servers ist modular aufgebaut.
Zukünftige Anforderungen und Erweiterungen lassen sich damit
leichter umsetzen. Für projektspezifische Implementierungen
sind Erweiterungsmöglichkeiten vorgesehen, über die auch
sonstige proprietäre Systeme angesprochen werden können.
Mandantenfähigkeit
TR-03130-Konformität
(BSI-Zertifizierung voraussichtlich Q4/2017)
Governikus Autent ist modular aufgebaut
und setzt sich aus drei Komponenten zusammen.
BASISKOMPONENTE
AUTENT SERVER
Als zentrale Basiskomponente von Governikus Autent ermöglicht der Autent Server
die Authentifizierung digitaler Identitäten
und zentralisiert die Datenverwaltung.
Der Zugriff auf den Autent Server erfolgt
authentisiert und über standardisierte
Schnittstellen, wie beispielsweise SPML,
Rest (SCIM), SAML und WebServices. Ein
umfangreiches Rollenkonzept schützt die
hinterlegten Daten vor unberechtigter Einsicht und Manipulation.
Je nach sicherheitskritischem Einsatzszenario und Anforderung unterstützt der
Autent Server unterschiedliche Authentisierungsmethoden:
■■ Authentisierung mit der Online-Ausweis
funktion des Personalausweises bzw. elektronischem Aufenthaltstitel (beson-
ders hohes Authentisierungsniveau)
■■ eIDAS-konforme Authentisierung
■■ Zertifikatsbasierte Authentisierung (Softwarezertifikate, Signaturkarten)
■■ Authentisierung mit Benutzername und Passwort
■■ SAML-Proxy-Authentisierung
■■ Authentisierung durch eine manuelle Identitätsbestätigung (geplant)
Der Autent Server bietet zu den Diensteanbietern bzw. anderen
Identitätsinstanzen folgende offene, standardisierte Schnittstellen:
OFFENE
INDUSTRIESTANDARDS
10
11
Benutzerverwaltung mit
dem Autent Frontend
Über eine Weboberfläche wird mit dem Autent Frontend eine Benutzerverwaltung mit
Funktionen sowohl für registrierte Benutzer/Identitäten (Self-Service) als auch für
sogenannte Identitätsadministratoren zur
Verfügung gestellt.
Um ein harmonisches und in das Zielszenario eingebettetes „Look & Feel“ für die
Anwender erzeugen zu können, sind die
grafischen Oberflächen des Autent Frontends konfigurierbar.
Self-Service
für Benutzer
Nutzer haben die Möglichkeit, Einstellungen des eigenen Kontos zu verwalten und zu ändern.
Delegierte
Benutzerverwaltung über
einen
Identitätsadministrator
Bestimmten Personen kann die Rolle eines Identitätsadministrators zugewiesen werden. Diese Personen können über das
Autent Frontend die Identität einer Person oder eines Unternehmens manuell bestätigen und weitere Nutzer zu einer
bestimmten Gruppe hinzufügen. Auf diese einfache Weise ist
künftig auch die Verwaltung von Unternehmenskonten möglich.
UNABHÄNGIG
EINFACH
SCHRIFTFORMWAHRUNG
SELF-SERVICE
DELEGIERTE
BENUTZERVERWALTUNG
AUTENT FRONTEND
FLEXIBEL
INTEROPERABEL
12
13
DAS ZENTRALE
MODUL FÜR
SERVICEKONTEN
Identitätsadmins
Berechtigte
Identitätsadmins
können Daten
von Personen
verwalten
Autent ID Connect
Konzipiert als Erweiterungsmodul zum
Autent Server, ist Autent ID Connect das
zentrale Modul für Servicekonten und
Vereinfachte
Anbindung
Schriftformwahrung
Ein Zertifikat
für mehrere
Onlinedienste
Self-Service
Kontoverwaltung
Portalverbünde und gewährleistet die Interoperabilität zu anderen Servicekonten im
Portalverbund.
Durch den Einsatz von Autent ID Connect wird Service Providern
die technische Anbindung erleichtert, da die komplexe SAML-Anbindung an einen eID-Server/Service komplett durch diese Komponente übernommen wird.
Der Architektur des Autent Servers ist modular aufgebaut.
Zukünftige Anforderungen und Erweiterungen lassen sich damit
leichter umsetzen. Für projektspezifische Implementierungen
sind Erweiterungsmöglichkeiten vorgesehen, über die auch
sonstige proprietäre Systeme angesprochen werden können.
Neben den technischen und gesetzlichen Vorteilen sorgt Autent ID Connect auch für eine finanzielle und organisatorische
Entlastung. Anstatt je Onlineangebot ein Berechtigungszertifikat zu beantragen und einzubinden, reicht ein einziges Zertifikat für die Anbindung von mehreren Onlinediensten aus.
Autent
Frontend
Nutzer können
ihre Daten nach
Login ändern
Login
Autent
Server
Nutzer
Onlinedienste
Fachverfahren
delegieren die
Authentisierung,
falls erforderlich
Delegierte
Authentisierung
Portale / Fachverfahren
Identitätenspeicher
Autent
ID Connect
Benutzerverwaltung
14
15
PORTALVERBUND
UNTERSTÜTZUNG
INTEROPERABLER SERVICE–/
UNTERNEHMENSKONTEN
Land A
Nutzer
Portale/Fachverfahren
Nutzer kann auf
Servicedienste anderer
Bundesländer zugreifen
SPEZIFIKATION
zum interoperablen
Servicekonto
Land B
Nutzer
Portale/Fachverfahren
Nutzer kann auf
Servicedienste anderer
Bundesländer zugreifen
Land C
Servicekonto
Nutzer
Portale/Fachverfahren
Bereits im Herbst 2013 hat der IT-Planungsrat die „Strategie für eID und andere Vertrauensdienste im E-Government“
verabschiedet, Beschlüsse zur Umsetzung
getroffen und entsprechende Maßnahmen
auf den Weg gebracht. Ein Schwerpunkt der
eID-Strategie liegt im Bereich der Servicekonten. Immer mehr Behörden, Kommunen
und Länder nutzen Servicekonten zur digitalen Bereitstellung ihrer Dienstleistungen.
Mit dem sog. „interoperablen Servicekonto“
soll Nutzern künftig die Möglichkeit geboten
werden, sich über ein einmal eingerichtetes
Konto für die Nutzung unterschiedlicher Verwaltungsdienstleistungen zu identifizieren.
Mehrwert und Nutzen liegen auf der Hand:
Nutzer können sich mit ihrem vertrauten
Servicekonto bei allen Verwaltungsdienstleistungen in Deutschland und perspektivisch in
der Europäischen Union identifizieren. Hierbei handelt es sich um einen wesentlichen
Aspekt im Sinne von Single Sign-On (SSO).
Im Zuge der Konzeption sowie Umsetzung
eines beispielhaften Prototyps wurde Governikus Autent von Nordrhein-Westfalen zum
Aufbau eines interoperablen Servicekontos
als Basiskomponente genutzt. In der ersten Ausbaustufe werden Servicekonten für
natürliche Personen umgesetzt. Danach folgt
die Möglichkeit zur Registrierung juristischer Personen (Unternehmenskonto). Die
Erweiterung zum Unternehmenskonto wird
eng mit den Bedarfsträgern aus Bund und
Ländern abgestimmt und realisiert.
Die Pilotierung erfolgt zwischen Nordrhein-Westfalen und Bayern. Die aus den
Erkenntnissen resultierenden Anpassungen
an Governikus Autent stehen Bund, Ländern
und Kommunen über die Anwendung Governikus des IT-Planungsrates zum Aufbau
eigener Servicekonten zur Verfügung.
Innerhalb eines Landes sind die Identitäten
lokal im jeweiligen Servicekonto abgelegt. Für
das Login an dem Fachverfahren eines anderen Landes melden sich die Benutzer einfach
wie gewohnt an ihrem lokalen Servicekonto
an. Die Übermittlung der Daten zum gewünschten Fachverfahren übernehmen
gemäß der Spezifikation zum interoperablen
Servicekonto die zwei jeweils involvierten
Servicekonten, nämlich des eigenen Landes
und des Landes, in dem das gewünschte
Fachverfahren betrieben wird.
Die Interoperabilität des Prototyps zwischen
den Servicekonten von NRW und Bayern wird
über die IdP-Proxy-Funktionalität von Governikus Autent hergestellt. Bei der angewandten SAML-Proxy-Authentisierung ist der
IdP-Proxy ein Vermittler, der seinen Dienst
bei der Authentisierung zwischen Clients,
Diensteanbietern und IdPs verrichtet.
16
17
VORTEILE VON
Basiskomponenten
für Portal- und
eAkten-Szenarien
Modularität
und Flexibilität
Das Identitätsmanagement für Portalund eAkten-Szenarien lässt sich mit den
Komponenten von Governikus Autent
flexibel umsetzen und gewährleistet
darüber hinaus die Interoperabilität zu
anderen Identitätslösungen.
eIDAS-ready
eIDAS
READY
Der Umgang mit europäischen Identitäten gemäß der eIDAS-Verordnung wird
durch Governikus Autent ermöglicht.
Interoperabilität
und Föderation
Alle Schnittstellen von Governikus
Autent richten sich an offenen nationalen und internationalen Standards aus.
Da sich mit Governikus Autent ein
zentraler Identitätsdienst, der Single
Sign-On (SSO) unterstützt, aufbauen
lässt, kann dieser von unterschiedlichen
Portalen genutzt werden. Er eignet sich
somit hervorragend für föderierte Szenarien, wie z.B. interoperable Service- bzw.
Unternehmenskonten.
Durch den modularen Aufbau von Governikus Autent lassen sich die unterschiedlichsten Einsatzszenarien je nach
Bedarf ganz flexibel und unabhängig von
den
anzubindenden
Fachverfahren
realisieren.
Wirtschaftlichkeit
Governikus Autent steht über die
Anwendung Governikus des IT-Planungsrates dem Bund, den Ländern und den
Kommunen ohne zusätzliche Lizenzkosten zur Verfügung. Der Betrieb kann
wahlweise im eigenen Rechenzentrum
oder als eID-Service erfolgen.
Zukunftssicherheit /
Investitionsschutz
Alle künftigen Erweiterungen werden
direkt im Identitätsmanagementsystem
umgesetzt und stehen sofort sämtlichen
angeschlossenen Systemen zur Verfügung. Im Gegensatz zu proprietären
Lösungen gewährleistet Governikus
Autent ein hohes Maß an Flexibilität und
Investitionsschutz. Darüber hinaus ist
über die Anwendung Governikus des
IT-Planungsrates die kontinuierliche
Weiterentwicklung entsprechend aktueller Markt- und Gesetzesanforderungen
gesichert.
18
19
GOVERNIKUS AUTENT
IM EINSATZ (AUSZUG)
SOFTWAREANFORDERUNGEN
Einsatz im Kontext Servicekonten
■■ Governikus unterstützt KDN beim Aufbau eines interoperablen Servicekontos
(Prototypische Umsetzung zwischen Nordrhein-Westfalen und Bayern).
■■ In Rheinland-Pfalz verwendet die KommWis ebenfalls Autent-Komponenten für das
Servicekonto.
Betriebssystem
■■
■■
■■
■■
Microsoft Windows Server
SUSE Linux Enterprise Server
Red Hat Enterprise Linux
Ubuntu
Datenbank
■■
■■
■■
■■
Microsoft SQL
MySQL
Oracle
MariaDB
ApplicationServer
■■ JBoss Enterprise Application Platform
■■ Oracle JDK
Servlet-Engine
■■ TOMCAT
Technologie
■■ JAVA
Eigenbetrieb
■■
■■
■■
■■
■■
Elster
ITDZ
IT.N (IdP-Proxy)
RZ Ravensburg-Lippe
Bundesrechtsanwaltskammer (beA)
Betrieb bei Governikus (eID-Service)
■■ United Internet
■■ Cosmos Direkt
■■ Techniker Krankenkasse
■■ Bundesagentur für Arbeit
■■ Citeq
■■ AKDB
Insgesamt sind ca. 110 Berechtigungszertifikate auf den Governikus-Servern eingebunden.
Die Governikus KG ist ein seit 1999 etablierter IT-Lösungsanbieter
für Sicherheit und Rechtsverbindlichkeit elektronischer Kommunikation und elektronischer Dokumente. Gegründet als bremen online
services im Jahr 1999, beschäftigt sich die Governikus KG intensiv
mit dem Schutz personenbezogener Daten. Als Pionier im E-Government- und E-Justice-Bereich liegt der Fokus des Portfolios auf der
Unterstützung zur Digitalisierung der Verwaltungsprozesse, die auch
im Rahmen der Digitalen Agenda der Bundesregierung gefordert wird.
Das Governikus-Portfolio liefert wichtige Bausteine für den gesamten Lebenszyklus elektronischer Dokumente und für eine sichere
elektronische Kommunikation. Die Lösungen der Governikus KG
gliedern sich in die Themenschwerpunkte „Sichere Identitäten“,
„Sichere Kommunikation“ sowie „Sichere Daten“. Innerhalb der
Suiten liefert die Governikus KG beispielsweise Komponenten,
Produkte und Lösungen für die Authentisierung mit dem Personalausweis, den im E-Government etablierten OSCI-Protokollstandard
für eine starke Ende-zu-Ende-Verschlüsselung in und mit der
Verwaltung bzw. im EGVP-Verbund der Justiz, intelligente Multikanalkommunikation, Signaturanwendungskomponenten sowie die
beweiswerterhaltende Langzeitaufbewahrung gemäß TR-ESOR.
Governikus GmbH & Co. KG
Am Fallturm 9
28359 Bremen, Germany
Tel:+49 421 204 95-0
Fax:+ 49 421 204 95-11
[email protected]
www.governikus.de
Stand März 2017
Zahlreiche Komponenten aus dem Governikus-Gesamtportfolio
stehen als Anwendungen des IT-Planungsrates Governikus und
Governikus MultiMessenger dem Bund, den Ländern sowie ihren
Kommunen u.a. zur Umsetzung der Nationalen E-Government-Strategie zur Verfügung. Die Anwendung Governikus ist gemäß Common
Criteria evaluiert, SigG-bestätigt, eIDAS-konform und wird ständig
gemäß aktueller nationaler und internationaler Gesetzeslagen und
Strategien weiterentwickelt.